Microsoft schließt kritische Sicherheitslücken in Hyper-V und mehr

REDMOND / MÜNCHEN (IT BOLTWISE) – Microsoft hat das Jahr 2025 mit einem umfassenden Sicherheitsupdate begonnen, das 161 Sicherheitslücken in seiner Software behebt, darunter drei aktiv ausgenutzte Zero-Day-Schwachstellen.

Microsoft hat das Jahr 2025 mit einem bedeutenden Sicherheitsupdate eingeläutet, das insgesamt 161 Sicherheitslücken in seiner Software behebt. Besonders hervorzuheben sind drei Zero-Day-Schwachstellen, die bereits aktiv ausgenutzt werden. Von den 161 Schwachstellen sind 11 als kritisch und 149 als wichtig eingestuft. Eine weitere Schwachstelle, die nicht von Microsoft stammt, betrifft einen Windows Secure Boot Bypass (CVE-2024-7344) und wurde nicht bewertet. Laut der Zero Day Initiative handelt es sich um die größte Anzahl an CVEs, die in einem einzigen Monat seit mindestens 2017 behoben wurden.

Besonders im Fokus stehen drei Schwachstellen in der Windows Hyper-V NT Kernel Integration VSP (CVE-2025-21333, CVE-2025-21334 und CVE-2025-21335), die aktiv ausgenutzt werden. Diese Schwachstellen ermöglichen es Angreifern, SYSTEM-Rechte zu erlangen. Die genaue Art und Weise, wie diese Schwachstellen ausgenutzt werden, ist derzeit nicht bekannt. Microsoft hat keine Angaben zu den Identitäten der Angreifer oder dem Ausmaß der Angriffe gemacht. Da es sich um Privilegieneskalations-Schwachstellen handelt, werden sie wahrscheinlich als Teil von Post-Compromise-Aktivitäten genutzt, bei denen ein Angreifer bereits Zugang zu einem Zielsystem erlangt hat.

Die Virtualization Service Provider (VSP) Komponente, die im Root-Partition einer Hyper-V-Instanz residiert, bietet synthetische Geräteunterstützung für Child-Partitionen über den Virtual Machine Bus (VMBus). Angesichts der Tatsache, dass dies eine Sicherheitsgrenze darstellt, ist es überraschend, dass bisher keine Schwachstellen in der Hyper-V NT Kernel Integration VSP von Microsoft anerkannt wurden. Die Ausnutzung dieser Schwachstellen hat dazu geführt, dass die U.S. Cybersecurity and Infrastructure Security Agency (CISA) sie in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen hat, was bedeutet, dass Bundesbehörden die Patches bis zum 4. Februar 2025 anwenden müssen.

Zusätzlich hat Microsoft gewarnt, dass fünf der Schwachstellen öffentlich bekannt sind, darunter eine Microsoft Access Remote Code Execution Vulnerability (CVE-2025-21186, CVE-2025-21366, CVE-2025-21395) und eine Windows App Package Installer Elevation of Privilege Vulnerability (CVE-2025-21275). Diese Schwachstellen erfordern, dass ein Angreifer den Benutzer dazu bringt, eine speziell gestaltete Datei zu öffnen. Die Updates schließen auch fünf kritische Schwachstellen, darunter eine Microsoft Digest Authentication Remote Code Execution Vulnerability (CVE-2025-21294) und eine SPNEGO Extended Negotiation (NEGOEX) Security Mechanism Remote Code Execution Vulnerability (CVE-2025-21295).

In einem E-Mail-Angriffsszenario könnte ein Angreifer die Schwachstelle ausnutzen, indem er eine speziell gestaltete E-Mail an das Opfer sendet. Die Ausnutzung der Schwachstelle könnte dazu führen, dass der Angreifer Remote-Code auf dem Rechner des Opfers ausführt. Um sich gegen die Schwachstelle zu schützen, wird empfohlen, E-Mail-Nachrichten im Nur-Text-Format zu lesen und Microsoft Outlook zu verwenden, um das Risiko zu verringern, dass Benutzer RTF-Dateien aus unbekannten oder nicht vertrauenswürdigen Quellen öffnen.

Die Schwachstelle CVE-2025-21295 im SPNEGO Extended Negotiation (NEGOEX) Sicherheitsmechanismus ermöglicht es nicht authentifizierten Angreifern, bösartigen Code remote auf betroffenen Systemen auszuführen, ohne dass eine Benutzerinteraktion erforderlich ist. Trotz einer hohen Angriffskomplexität kann eine erfolgreiche Ausnutzung die gesamte Unternehmensinfrastruktur vollständig kompromittieren, indem eine Kernschicht des Sicherheitsmechanismus untergraben wird, was zu potenziellen Datenverletzungen führen könnte.